复盘是为了学习,不是追责

Fri, 05 Mar 2027 00:00:00 +0000

事件结束后，复盘应解释发生了什么、当事人在当时知道什么，以及哪些改变可能减少下一次伤害。不追责让坦诚报告更安全，但不保证故障绝不复发，也不取消行动责任，更不会把每一种解释自动变成事实。学习同时需要可信的经过记录，以及有用的后续工作真正发生的证据，不能只用会议气氛或文档长度评价成果。

重建当时的决策上下文

结果已知之后，早先的选择很容易显得显然错误。应询问当时有哪些信号、文档、时间压力和可用替代方案。相关操作应如实进入时间线，但如果分析在某个人的名字上停止，就没有继续解释系统中的哪些条件让这个动作显得合理，或者让它更容易发生。理解条件不是删掉人的行动，而是把行动放回其真实背景。

时间线是依据证据重建的经过，不是永远不可修改的记录。保留日志与沟通来源，区分直接观察和推断，对不确定时间戳、互相冲突的说法明确标注；获得更强证据时，也应修正原有解释。时间线很短，可以提示上下文不足，却不能证明有人故意隐瞒。未经证实便指责作者过滤记录，会重新制造复盘本来试图消除的责备。

把影响、条件和行动连接起来

先说明客户受到什么影响，以及影响如何测量。检测、缓解和恢复应分别记录：回滚命令执行完毕，不等于同一时刻客户流量已经恢复。描述触发变更的同时，列出让错误扩大或持续的促成条件，例如缺少容量限制，或某条依赖让局部问题传播到其他系统。仍然没有证据的问题可以保留为待调查项，不必强行宣布唯一根因。

从这些条件出发，选择少量且有优先级的行动。行动可以预防重现、改善检测、限制影响，或让恢复过程更安全。并非每个促成因素都必须对应一次生产变更；应调查不确定性，并记录明确接受的取舍。如果运行手册修订或培训演练确实针对具体失效方式，它们同样可能有价值，不能因为没有直接修改生产就把它们一律判成无效愿望。

每条已经接受的行动应有一名协调完成的负责人、目标日期、跟踪引用和可验证结果。明确负责人不等于把事故归咎于他。验证条件应描述可观察的结果，例如受控测试确实阻止不安全发布，而不是仅写已经创建文档。若验证需要另一团队协作，也应把依赖和验收方式写清楚，避免名义上有负责人，实际却无人能够推动完成。

跟进不等于制造确定性

按风险与交付时间安排复查。一周后检查可能有用，但不存在适用于所有事故的统一七天期限。应核对变更是否落地、验证是否通过，以及是否引入新的问题。如果方案失败，任务应继续保持开放并更新计划，不能因为又开了一次会，就宣布问题已经闭环。明确延期和重新排序，也比让行动在清单中悄悄消失更诚实。

即使前次行动全部完成，同类事故再次出现时仍值得调查。原来的解释可能不完整，措施可能只减少影响而不能消除发生机会，运行条件也可能已经改变。因此应同时比较影响和促成因素，不只比较事故数量。报告变少本身不能证明可靠性提高，尤其当上报激励发生变化时；诚实报告增加也不应被直接当作团队表现变差。

坏掉的样子

模糊任务可以在每次会议后继续存在，因为没有人能够判断它到底算不算完成。过大的任务则可能长期开放，因为优先级和人员投入始终没有匹配承诺。接受工作时就应审阅可行性，并记录主动推迟的理由，不能让日期不断后移却没有任何决策依据。

检查表也可能取代真正学习。字段填写齐全，不证明因果解释可靠、提议的变更安全，或者验证方式可信。广泛分享的复盘不应包含客户敏感信息和凭据；必要证据应保留在权限合适的位置，而不是为了显得完整，把所有原始材料复制进叙述。共享经验与共享每一个细节是不同决定，应根据读者需要控制范围。

快速验证

保存以下内容为 postmortem_check.py，运行 python3 postmortem_check.py。程序只用 Python 标准库检查三份合成记录，不接触外部服务。接受的输入结构是包含行动字典列表的字典；这是本地元数据练习，不是面向任意不可信文档的通用验证器，也没有判断事故的真实原因。

from copy import deepcopy
from datetime import date
import re


def check_review(doc):
 errors = []
 for key in ("timeline", "causes", "actions"):
 if not doc.get(key):
 errors.append(f"missing {key}")
 for i, action in enumerate(doc.get("actions", [])):
 for field in ("task", "owner", "proof"):
 value = action.get(field)
 if not isinstance(value, str) or not value.strip():
 errors.append(f"action {i} missing {field}")
 due = action.get("due")
 try:
 if not isinstance(due, str) or not re.fullmatch(r"[0-9]{4}-[0-9]{2}-[0-9]{2}", due):
 raise ValueError("date format")
 date.fromisoformat(due)
 except ValueError:
 errors.append(f"action {i} invalid due date")
 return errors


GOOD = {
 "timeline": ["00:01 alert fired", "00:07 rollback completed"],
 "causes": {"trigger": "deployment", "conditions": ["no canary gate"]},
 "actions": [{"task": "add a canary gate", "owner": "ana",
 "due": "2026-10-22", "proof": "staging test blocks a bad release"}],
}
BAD = deepcopy(GOOD)
BAD["actions"][0].update(owner=None, due="soon", proof="")
SHALLOW = deepcopy(GOOD)
SHALLOW["actions"][0].update(task="be more careful", proof="manager agrees")

assert check_review(GOOD) == []
assert check_review(BAD) == ["action 0 missing owner", "action 0 missing proof",
 "action 0 invalid due date"]
assert check_review(SHALLOW) == [] # Metadata completeness cannot judge quality.
for invalid in ("2026-02-30", "20261022", None):
 candidate = deepcopy(GOOD)
 candidate["actions"][0]["due"] = invalid
 assert check_review(candidate) == ["action 0 invalid due date"]
print("PASS: complete metadata accepted; missing owner/proof and invalid dates rejected")
print("LIMIT: a vague action still passes; causal review requires human judgment")

完整记录通过。空负责人、空验证条件、含糊期限、不存在的日期、紧凑日期和空日期都被拒绝。关键是“更加小心”这条模糊行动依然通过，因为其字段已经填满。最后一行 LIMIT 明确暴露这个刻意保留的边界：元数据校验可以辅助审阅，却不能证明学习已经发生，更不能保证下一次事故不会重来。人仍需结合证据判断行动是否真正改变了导致伤害的条件。

来源

Google SRE：复盘文化，不追责调查、评审与适当共享，已核验 2026-10-15。
Google SRE 工作手册：复盘文化，行动归属、优先级、验证和跟进，已核验 2026-10-15。

文化 · XB 现场笔记